Rootkit是攻击者在入侵系统后用来保持对系统的超级用户访问权限,创建后门和隐藏攻击痕迹等常采用的一种技术。Rootkit存在于Linux、Solaris和Windows等各种操作系统上。根据对操作系统的入侵层次,Rootkit分为应用级Rootkit和内核级Rootkit两种类型。应用级Rootkit在操作系统应用层修改系统文件,比较容易预防。内核级Rootkit攻击操作系统内核,与应用级Rootkit相比功能更强大,更难检测。目前存在的检测Rootkit的工具和方法大部分只能检测到应用级Rootkit,少数能检测到某些特定类型的内核级Rootkit,且都需要由管理员手动的执行。目前还不存在一种有效的方法可以自动修复系统,一旦系统被内核级Rootkit攻击,只能重启甚至重装操作系统才能使系统恢复到正常状态。本文提出了一种实时检测Rootkit并自动修复操作系统的方法,并在Linux系统上实现为Anti-Rootkit系统。Anti-Rootkit不仅对现有的Rootkit有效,而且考虑了将来可能出现的更高级的Rootkit。实验结果表明,Anti-Rootkit可以实时地检测到各种典型的Rootkit,并自动修复系统。此外,本文还对一些典型的Rootkit及其攻击原理进行了详细的剖析。在目前Rootkit使用的攻击方法的基础上,本文还从攻击者的角度出发,分析了一些将来可能被Rootkit使用的攻击方法。